Kliknąłem podejrzany link. Co dzieje się dalej i jak ograniczyć skutki phishingu?

Wyobraź sobie zwykły dzień pracy. Otrzymujesz wiadomość SMS z informacją o niedostarczonej przesyłce. Nadawca wygląda wiarygodnie, treść jest krótka, a rozwiązanie problemu ma zająć kilkanaście sekund.

Otwierasz link.

Strona wygląda znajomo. Prosi o potwierdzenie danych, być może niewielką dopłatę albo ponowne zalogowanie. Dopiero po chwili zaczynasz podejrzewać, że coś jest nie tak.

Co właściwie wydarzyło się w tej sytuacji? Czy samo otwarcie strony oznacza infekcję urządzenia? Czy trzeba zmienić wszystkie hasła? A może najważniejsze jest coś zupełnie innego?

Przyjrzyjmy się temu na konkretnym przykładzie.

Scenariusz: fałszywa strona płatności

Załóżmy, że użytkownik otrzymuje SMS dotyczący przesyłki. Link prowadzi do strony imitującej serwis kurierski.

Atak może przebiegać w kilku etapach:

1. Użytkownik otwiera fałszywą stronę.
2. Witryna wyświetla formularz płatności lub logowania.
3. Użytkownik wpisuje dane.
4. Formularz przesyła informacje do infrastruktury kontrolowanej przez atakującego.
5. Przestępca próbuje wykorzystać pozyskane dane.

W niektórych kampaniach na tym etapie pojawia się kolejna strona, która imituje autoryzację bankową. Celem może być przejęcie danych karty, danych logowania lub kodów autoryzacyjnych.

Istotne jest to, że nie każdy atak wymaga instalowania złośliwego oprogramowania. Czasami największym problemem jest dobrowolne przekazanie informacji przestępcom.

Pierwsza rzecz: ustal, co dokładnie zrobiłeś

Nie warto rozpoczynać od przypadkowego instalowania programów zabezpieczających czy formatowania komputera.

Najpierw trzeba określić zakres zdarzenia.

To rozróżnienie ma znaczenie. Inaczej reagujemy na samo otwarcie strony, a inaczej na przekazanie danych logowania lub uruchomienie nieznanego programu.

Co zrobić, jeżeli podałeś hasło?

Jeżeli wpisałeś hasło na podejrzanej stronie, nie zakładaj, że zamknięcie przeglądarki rozwiązuje problem.

Najważniejsze kroki:

• Otwórz oficjalną stronę usługi, wpisując jej adres ręcznie.
• Zmień hasło z zaufanego urządzenia.
• Jeżeli używałeś tego samego hasła w innych usługach, zmień je również tam.
• Wyloguj nieznane aktywne sesje.
• Sprawdź metody odzyskiwania dostępu.
• Włącz uwierzytelnianie wieloskładnikowe.
• Sprawdź, czy do konta nie dodano nieznanych aplikacji.

Szczególną uwagę należy poświęcić poczcie elektronicznej. Przejęta skrzynka może ułatwić atakującym resetowanie haseł do innych usług.

A co z samym komputerem?

Otwarcie podejrzanej witryny nie jest równoznaczne z instalacją wirusa.

Ryzyko zależy od wielu czynników, między innymi od wersji przeglądarki, systemu operacyjnego, wykorzystanych podatności i działań wykonanych przez użytkownika.

Jeżeli pobrałeś plik, ale go nie uruchomiłeś, nie wykonuj go w celu sprawdzenia zawartości. Możesz przeskanować go aktualnym oprogramowaniem ochronnym lub przekazać do analizy w bezpiecznym środowisku.

Jeżeli uruchomiłeś nieznany program, sytuacja jest poważniejsza. W przypadku podejrzenia aktywnego złośliwego oprogramowania odłącz urządzenie od sieci i skorzystaj z pomocy specjalisty lub administratora IT.

Dlaczego zmiana hasła może nie wystarczyć?

Współczesne ataki nie zawsze ograniczają się do kradzieży hasła.

W zależności od zastosowanej metody przestępcy mogą próbować przejąć również sesję użytkownika, wykorzystać skradzione tokeny uwierzytelniające lub nakłonić ofiarę do zatwierdzenia logowania.

Dlatego po incydencie warto sprawdzić:

• aktywne sesje;
• historię logowań;
• podłączone urządzenia;
• aplikacje posiadające dostęp do konta;
• reguły przekazywania wiadomości;
• dodatkowe adresy e-mail i numery telefonów służące do odzyskiwania dostępu.

W przypadku kont służbowych należy zgłosić incydent administratorowi. Samodzielne działania nie zawsze pozwalają usunąć wszystkie mechanizmy utrzymywania dostępu.

Jak ograniczyć ryzyko podobnego zdarzenia?

Najlepsza strategia nie polega na zapamiętywaniu tysięcy podejrzanych domen. Znacznie skuteczniejsze jest wyrobienie kilku nawyków.

Nie loguj się przez przypadkowe odnośniki. Jeżeli wiadomość dotyczy banku, poczty lub przesyłki, otwórz oficjalną aplikację albo wpisz adres serwisu ręcznie.

Używaj różnych haseł. Przejęcie jednego konta nie powinno otwierać dostępu do pozostałych.

Włącz MFA. Dodatkowy składnik uwierzytelniania utrudnia wykorzystanie samego hasła.

Aktualizuj oprogramowanie. Nieaktualna przeglądarka i system mogą zawierać podatności wykorzystywane przez złośliwe witryny.

Nie działaj pod presją. Komunikaty o natychmiastowej blokadzie konta, dopłacie lub konieczności pilnego potwierdzenia danych powinny wzbudzić podejrzenia.

Podsumowanie

Phishing jest skuteczny przede wszystkim dlatego, że wykorzystuje naturalne zachowania użytkowników. Odbieramy wiadomości, klikamy odnośniki i logujemy się do usług. Atakujący próbują sprawić, abyśmy wykonali te czynności w niewłaściwym miejscu.

Samo kliknięcie nie musi oznaczać przejęcia urządzenia. Ważne jest jednak szybkie ustalenie, jakie informacje mogły zostać ujawnione i czy wykonano dodatkowe czynności.

Więcej praktycznych wskazówek dotyczących reagowania na takie incydenty zawiera poradnik o cyberbezpieczeństwie opublikowany na Netbe.pl.

Bezpieczeństwo w internecie nie zaczyna się od instalacji kolejnego programu. Zaczyna się od świadomych decyzji podejmowanych każdego dnia.